SQL Server 2016 Data Adgang

Transkript

1 SQL Server 2016 Data Adgang MSBIP, 5. OKTOBER, 2015

2 Agenda SQL Server 2016 CTP 2.3 Pragmatisk Data Adgangskontrol Row Level Security Dynamic Masking Kombination af begge Alternativet

3 Hvem er jeg Selvstændig BI konsulent Erfaring fra mange ApplikationDatavarehus projekter Synes Captain America er den sejeste Marvel helt Har ingen hund, men spiller golf

4 Row Level Securuty

5 Row Level Security Kommer ud af Azure Row-by-row sikkerhed, minimal påvirkning fra skema, applikationer og forespørgsler Mål: Lad SQL Server Engine håndtere sikkerheds policies Ingen GUI bortset fra lister i SSMS

6 Use Cases AZURE: Hospitalsafdelinger med patientdata læger og sygeplejersker. Salgsinformation og organisatoriske niveauer HR relaterede data Pony Rideskoler

7 Row Level Security - Anvendelse Security Policy Id Init First Last Birth Salery 1 SJI Stina Jindshøj SRÅ Sigrid Råløkke SDÅ Søren Dåe PRI Peter Risskow BBE Børge Berth SGI Slawek Gislowski

8 Row Level Security - Anvendelse Security Policy Id Init First Last Birth Salery 1 SJI Stina Jindshøj SRÅ Sigrid Råløkke SDÅ Søren Dåe PRI Peter Risskow BBE Børge Berth SGI Slawek Gislowski

9 Filter Funktionen SELECT, INSERT, UPDATE, DELETE ved ikke, at data nedenunder er filtreret Specialiseret INLINE table valued function Schema Binding Returnerer 0 eller 1 0 eller mange partametre CREATE FUNCTION sec.accesspredicate(@empid INT) RETURNS TABLE WITH SCHEMABINDING AS RETURN SELECT 1 AS accesspredicate_result FROM dbo.employee e WHERE (e.init = USER_NAME() AND e.id OR USER_NAME() = 'dbo';

10 Implementering Filter funktion bindes til tabel Filterfunktioner kan anvendes flere steder KUN en binding pr. tabel CREATE SECURITY POLICY sec.ponyridepolicy ADD FILTER PREDICATE sec.accesspredicate(employeeid) ON dbo.ponyrides

11 Sikkerhed Schema Binding SECURITY POLICY bound kolonner kan ikke ændres resulterer i fejl. Bundne Filter funktioner kan ikke ændres.

12 Demo

13 Begrænsninger Schema Binding Index Views er out of bounds Columnstore tabeller.. endnu! Full Text indekser ER understøttet, MEN man kan få lov til at søge i data alligevel.. endnu! INSERT out of role er mulig.. endnu!

14 Best Practices ( so far ) Anvend et dedikeret skema til objekter Hold filter funktioner simple Undgå type konverteringer Undgå rekursion Undgå komplicerede joins

15 Dynamic Data Masking

16 Dynamic Data Mask Data Obfuscation. Sandsynligvis ment som supplement til andre krypteringsteknikker Ingen GUI Compatibility Level 130 (SQL Server 2016) ID Firstname Lastname CPR BirthDate 1 Sxxxxx Jixxxxx [email protected] 1xxxxx-xxx Sxxxxx Råxxxxx [email protected] 1xxxxx-xxx Sxxxxx Dåxxxxx [email protected] 0xxxxx-xxx Pxxxxx Rixxxxx [email protected] 1xxxxx-xxx Bxxxxx Båxxxxx [email protected] 0xxxxx-xxx Sxxxxx Gixxxxx [email protected] 2xxxxx-xxx

17 Typer af Maskering Default Custom Fuld maskering efter type af felt Maskerer alt bortset fra første bogstaver og suffix Angiver første og sidste bogstav, samt masken ADD MASKED WITH (FUNCTION = 'default()'); ADD MASKED WITH (FUNCTION = ' ()'); ADD MASKED WITH (FUNCTION = 'partial(1, xxxxx-xxx",1)') [email protected] [email protected] 1xxxxx-xxx1

18 SYNTAX CREATE TABLE dbo.avengers ( MemberID INT IDENTITY PRIMARY KEY, FirstName NVARCHAR(100) MASKED WITH (FUNCTION = 'partial(1,"xxxxxxx",0)') NULL, LastName VARCHAR (100) NOT NULL, PhoneNo VARCHAR(12) MASKED WITH (FUNCTION = 'default()') NULL, VARCHAR (100) MASKED WITH (FUNCTION = ' ()') NULL ); ALTER TABLE dbo.avengers ALTER COLUMN LastName ADD MASKED WITH (FUNCTION = 'partial(1,"xxxxx",0)');

19 Demo

20 Begrænsninger i dag!!! Ikke alle datatyper er understøttet og vil næppe blive (var)binary / image sql_variant, hierarchyid, uniqueidentifier Rowversion (timestamp) Spatial types Beregnede kolonner, Krypterede kolonner, Temporal kolonner, Sparse kolonner m.fl

21 . CTP Udvikles EXECUTE AS USER = N'Bob'; SELECT TOP (1) FirstName, CAST(FirstName AS NCHAR(32)) FROM dbo.employeeinfo; REVERT; Firstname (No column name) Firstname (No column name) SXXXXX Siegfred SXXXXX XXXX CTP 2.0 CTP 2.3

22 Konklusion Dynamic Masking Row Level Security Id Init First Last Birth Birth Salery 1 SJI Stina Jindshøj SRÅ Sigrid Råløkke SDÅ Søren Dåe PRI Peter Risskow BBE Børge Berth SGI Slawek Gislowski

23 Konklusion.. Indtil videre Let at anvende Ikke 100% sikkert man skal kende begrænsningerne Det er ikke end-to-end kryptering Alternativet: Always Encrypted

24 Resources MSDN: Aaron Betrand